Theo Luật Bảo vệ dữ liệu cá nhân 2025, quảng cáo cá nhân hóa theo hành vi có được phép không?

Được, nhưng khoản 8 Điều 28 đặt thêm hai điều kiện riêng — và dữ liệu theo dõi hành vi trực tuyến lại thuộc danh mục nhạy cảm.

Quảng cáo bám đuổi, quảng cáo theo sở thích, quảng cáo dựa trên lịch sử duyệt web — tất cả đều thuộc nhóm mà khoản 8 Điều 28 Luật 91/2025/QH15 gọi là quảng cáo theo hành vi, có mục tiêu cụ thể hoặc cá nhân hóa.

Hai điều kiện riêng

Khoản 8 Điều 28 quy định tổ chức, cá nhân khi sử dụng dữ liệu cá nhân để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo phải tuân thủ quy định tại Điều này và các quy định sau:

• Chỉ được thu thập dữ liệu cá nhân thông qua việc theo dõi trang thông tin điện tử, cổng thông tin điện tử, ứng dụng khi có sự đồng ý của chủ thể dữ liệu cá nhân;
• Phải thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối chia sẻ dữ liệu; xác định thời gian lưu trữ; xóa, hủy dữ liệu khi không còn cần thiết.

Điều kiện thứ nhất chạm tới mọi mã theo dõi trên website

"Theo dõi trang thông tin điện tử, cổng thông tin điện tử, ứng dụng" bao gồm các đoạn mã đo lường và mã quảng cáo được nhúng vào trang. Điều kiện đặt ra là việc thu thập chỉ được diễn ra khi đã có sự đồng ý.

Về mặt kỹ thuật, điều này có nghĩa các mã theo dõi phục vụ quảng cáo không nên được nạp ngay khi trang tải xong, mà chỉ nạp sau khi người dùng đã đồng ý. Cách triển khai thông thường — nạp toàn bộ mã rồi mới hiện thanh thông báo — không đáp ứng được yêu cầu này.

Dữ liệu theo dõi hành vi là dữ liệu nhạy cảm

Điều 4 Nghị định 356/2025/NĐ-CP liệt kê trong danh mục dữ liệu cá nhân nhạy cảm cả dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng.

Hệ quả: khi xin đồng ý cho việc theo dõi hành vi, theo Điều 6 Nghị định 356/2025/NĐ-CP, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm. Đồng thời Điều 4 yêu cầu thiết lập quy định phân quyền giới hạn truy cập khi xử lý loại dữ liệu này.

Ba yêu cầu về vòng đời dữ liệu

Điểm b khoản 8 Điều 28 gộp ba nghĩa vụ vào một câu: cho phép từ chối chia sẻ, xác định thời gian lưu trữ, và xóa hủy khi không còn cần thiết.

Yêu cầu "xác định thời gian lưu trữ" đáng chú ý vì dữ liệu hành vi thường được giữ vô thời hạn theo mặc định của các nền tảng quảng cáo. Doanh nghiệp cần chủ động đặt thời hạn thay vì để nguyên cấu hình mặc định.

Không được thuê lại toàn bộ dịch vụ

Khoản 6 Điều 28 quy định tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không được thuê lại hoặc thỏa thuận để tổ chức, cá nhân khác thay mặt mình thực hiện toàn bộ dịch vụ quảng cáo có sử dụng dữ liệu cá nhân.

Quy định này ngăn việc chuyển toàn bộ trách nhiệm sang một bên trung gian mà chủ thể dữ liệu không biết tới.

Cách triển khai một cơ chế đồng ý đạt yêu cầu

• Phân loại mã theo dõi thành nhóm bắt buộc để trang hoạt động và nhóm phục vụ quảng cáo, đo lường;
• Chỉ nạp nhóm thứ hai sau khi người dùng chủ động đồng ý;
• Nêu rõ trong bảng thông báo: dữ liệu nào, dùng cho quảng cáo cá nhân hóa, tần suất, thời gian lưu trữ, và cảnh báo đây là dữ liệu nhạy cảm;
• Đặt nút từ chối ngang hàng về mức độ nổi bật với nút đồng ý — Điều 6 Nghị định 356/2025/NĐ-CP cấm tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý;
• Cho phép thay đổi lựa chọn về sau và lưu lại nhật ký từng lần thay đổi.

Tỷ lệ đồng ý sẽ thấp hơn cách làm cũ. Đây là kết quả tất yếu của việc chuyển từ mặc định thu thập sang chỉ thu thập khi được cho phép.

Đọc thêm cùng chủ đề

• Gửi tin nhắn quảng cáo có cần đồng ý của khách không?
• Công ty quảng cáo có được thuê lại đơn vị khác không?
• Công ty bảo hiểm được dùng dữ liệu sức khỏe thế nào?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 28
• Nghị định 356/2025/NĐ-CP Điều 4

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.